[{"data":1,"prerenderedAt":478},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25":45,"post-alt-\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25":456,"post-rel-\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25":458},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":409,"date":410,"description":411,"extension":412,"faq":413,"keyword":426,"meta":427,"minutes":27,"navigation":268,"path":428,"rawbody":429,"seo":430,"sources":431,"stem":447,"tags":448,"translationKey":453,"updated":454,"__hash__":455},"blog_fr\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25.md","Déclarer un incident de confidentialité à la CAI : le guide",{"type":49,"value":50,"toc":400},"minimark",[51,55,58,61,87,92,95,98,115,118,122,125,142,151,155,158,161,243,246,250,254,257,342,345,349,356,359,362,365,369,372,391,398],[52,53,54],"p",{},"Lundi, 8 h 40. La réceptionniste d'une clinique de physiothérapie de Sherbrooke voit des dizaines de réponses automatiques dans sa boîte de courriel. Vendredi, elle a saisi son mot de passe sur une fausse page Microsoft. Depuis, quelqu'un lit ses messages : rendez-vous, notes de suivi, coordonnées de patients.",[52,56,57],{},"La première question de la propriétaire est presque toujours la même : « On a 72 heures pour déclarer ça, c'est ça ? » Non. Et c'est une bonne nouvelle, à condition de ne pas s'en servir comme prétexte pour attendre.",[52,59,60],{},"Ce guide suit l'ordre réel d'une réponse à un incident : contenir, évaluer, aviser, consigner.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,78,81,84],"ul",{},[70,71,72,73,77],"li",{},"La Loi 25 n'impose aucun délai chiffré : il faut aviser la CAI et les personnes concernées ",[74,75,76],"strong",{},"« avec diligence »"," si l'incident présente un risque de préjudice sérieux (art. 3.5).",[70,79,80],{},"Le risque s'évalue selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable (art. 3.7), en consultant votre responsable de la protection des renseignements personnels.",[70,82,83],{},"L'avis à la CAI se fait par écrit, avec son formulaire en ligne, et contient les 11 éléments du Règlement sur les incidents de confidentialité.",[70,85,86],{},"Déclaré ou non, chaque incident va au registre.",[88,89,91],"h2",{"id":90},"pas-de-délai-de-72-heures-ce-que-dit-vraiment-larticle-35","Pas de délai de 72 heures : ce que dit vraiment l'article 3.5",[52,93,94],{},"Le chiffre de 72 heures circule partout, y compris sur des sites de fournisseurs en sécurité. Il vient de l'article 33 du RGPD européen, pas de la loi québécoise.",[52,96,97],{},"L'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé prévoit deux niveaux :",[99,100,101,108],"ol",{},[70,102,103,104,107],{},"Dès que vous avez des motifs de croire qu'un incident s'est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter qu'il se reproduise. Ça vaut pour ",[74,105,106],{},"tous"," les incidents.",[70,109,110,111,114],{},"Si l'incident présente un risque de préjudice sérieux, vous devez aviser ",[74,112,113],{},"avec diligence"," la Commission d'accès à l'information (CAI) et les personnes dont les renseignements sont touchés.",[52,116,117],{},"« Avec diligence » ne veut pas dire « quand le dossier sera complet ». La CAI écrit d'ailleurs que l'entreprise doit « s'empresser » de l'aviser. Et le Règlement prévoit que vous lui transmettiez avec diligence tout renseignement appris après l'avis initial (art. 4). Autrement dit : on déclare avec ce qu'on sait, puis on complète.",[88,119,121],{"id":120},"étape-1-contenir-et-préserver-les-preuves","Étape 1 : contenir et préserver les preuves",[52,123,124],{},"Avant même de savoir s'il faudra déclarer, agissez :",[67,126,127,130,133,136,139],{},[70,128,129],{},"Réinitialisez les mots de passe compromis et révoquez les sessions actives.",[70,131,132],{},"Supprimez les règles de transfert ou de redirection créées par l'attaquant.",[70,134,135],{},"Isolez les postes suspects du réseau, sans les éteindre si possible : la mémoire contient des indices.",[70,137,138],{},"Exportez les journaux d'audit avant qu'ils n'expirent.",[70,140,141],{},"Notez tout, avec l'heure : qui a constaté quoi, quelles actions ont été prises, par qui.",[52,143,144,145,150],{},"Ces notes serviront à remplir l'avis et le registre. Si vous n'avez pas encore de procédure, notre ",[146,147,149],"a",{"href":148},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","modèle de plan de réponse aux incidents"," vous donne une base solide.",[88,152,154],{"id":153},"étape-2-évaluer-le-risque-de-préjudice-sérieux","Étape 2 : évaluer le risque de préjudice sérieux",[52,156,157],{},"L'article 3.7 vous oblige à considérer notamment la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Vous devez aussi consulter votre responsable de la protection des renseignements personnels. La CAI suggère de structurer l'analyse autour de six questions : qui, combien, quoi, quand, où, pourquoi.",[52,159,160],{},"Quelques situations typiques, à titre indicatif :",[162,163,164,183],"table",{},[165,166,167],"thead",{},[168,169,170,174,177,180],"tr",{},[171,172,173],"th",{},"Situation",[171,175,176],{},"Sensibilité",[171,178,179],{},"Probabilité d'usage malveillant",[171,181,182],{},"Conclusion probable",[184,185,186,200,213,227],"tbody",{},[168,187,188,192,195,197],{},[189,190,191],"td",{},"Liste de prix envoyée par erreur avec les noms et courriels de 12 clients; le destinataire confirme la suppression",[189,193,194],{},"Faible",[189,196,194],{},[189,198,199],{},"Pas de risque sérieux : registre seulement",[168,201,202,205,208,210],{},[189,203,204],{},"Dossier partagé par lien public pendant deux jours; les journaux ne montrent aucun accès externe",[189,206,207],{},"Moyenne",[189,209,194],{},[189,211,212],{},"Souvent pas de risque sérieux : registre, journaux conservés en preuve",[168,214,215,218,221,224],{},[189,216,217],{},"Boîte courriel lue par un attaquant pendant trois jours (renseignements de santé)",[189,219,220],{},"Élevée",[189,222,223],{},"Élevée (acteur malveillant)",[189,225,226],{},"Risque sérieux : avis à la CAI et aux personnes",[168,228,229,236,239,241],{},[189,230,231,235],{},[146,232,234],{"href":233},"\u002Fblogue\u002Francongiciel-pme-anatomie-attaque","Rançongiciel"," avec vol de dossiers d'employés (NAS, relevés bancaires)",[189,237,238],{},"Très élevée",[189,240,238],{},[189,242,226],{},[52,244,245],{},"Documentez votre raisonnement, surtout quand vous concluez à l'absence de risque sérieux. Le registre doit justement contenir les éléments qui vous ont menés à cette conclusion.",[247,248],"cta",{"variant":249},"audit",[88,251,253],{"id":252},"étape-3-remplir-lavis-à-la-cai","Étape 3 : remplir l'avis à la CAI",[52,255,256],{},"L'avis se fait par écrit. La CAI offre un formulaire en ligne (formulaire.cai.gouv.qc.ca, section « Entreprise ou organisation privée »). Son contenu est fixé par l'article 3 du Règlement sur les incidents de confidentialité. Préparez ces 11 éléments :",[67,258,261,272,279,286,293,300,307,314,321,328,335],{"className":259},[260],"contains-task-list",[70,262,265,271],{"className":263},[264],"task-list-item",[266,267],"input",{"disabled":268,"type":269,"aria-label":270},true,"checkbox","Nom de l'entreprise et, le cas échéant, son numéro d'entreprise du Québec (NEQ)"," Nom de l'entreprise et, le cas échéant, son numéro d'entreprise du Québec (NEQ)",[70,273,275,278],{"className":274},[264],[266,276],{"disabled":268,"type":269,"aria-label":277},"Nom et coordonnées de la personne à joindre au sujet de l'incident"," Nom et coordonnées de la personne à joindre au sujet de l'incident",[70,280,282,285],{"className":281},[264],[266,283],{"disabled":268,"type":269,"aria-label":284},"Description des renseignements personnels visés, ou raison pour laquelle vous ne pouvez pas encore les décrire"," Description des renseignements personnels visés, ou raison pour laquelle vous ne pouvez pas encore les décrire",[70,287,289,292],{"className":288},[264],[266,290],{"disabled":268,"type":269,"aria-label":291},"Brève description des circonstances et, si elle est connue, de la cause"," Brève description des circonstances et, si elle est connue, de la cause",[70,294,296,299],{"className":295},[264],[266,297],{"disabled":268,"type":269,"aria-label":298},"Date ou période de l'incident (ou une approximation)"," Date ou période de l'incident (ou une approximation)",[70,301,303,306],{"className":302},[264],[266,304],{"disabled":268,"type":269,"aria-label":305},"Date ou période où vous en avez pris connaissance"," Date ou période où vous en avez pris connaissance",[70,308,310,313],{"className":309},[264],[266,311],{"disabled":268,"type":269,"aria-label":312},"Nombre de personnes concernées et, parmi elles, de résidents du Québec (ou une approximation)"," Nombre de personnes concernées et, parmi elles, de résidents du Québec (ou une approximation)",[70,315,317,320],{"className":316},[264],[266,318],{"disabled":268,"type":269,"aria-label":319},"Éléments qui vous font conclure à un risque de préjudice sérieux"," Éléments qui vous font conclure à un risque de préjudice sérieux",[70,322,324,327],{"className":323},[264],[266,325],{"disabled":268,"type":269,"aria-label":326},"Mesures prises ou prévues pour aviser les personnes, avec les dates ou le délai envisagé"," Mesures prises ou prévues pour aviser les personnes, avec les dates ou le délai envisagé",[70,329,331,334],{"className":330},[264],[266,332],{"disabled":268,"type":269,"aria-label":333},"Mesures prises ou prévues pour réduire le préjudice et éviter la répétition, avec les dates"," Mesures prises ou prévues pour réduire le préjudice et éviter la répétition, avec les dates",[70,336,338,341],{"className":337},[264],[266,339],{"disabled":268,"type":269,"aria-label":340},"Le cas échéant, mention qu'une autorité de protection des renseignements personnels hors Québec a aussi été avisée"," Le cas échéant, mention qu'une autorité de protection des renseignements personnels hors Québec a aussi été avisée",[52,343,344],{},"Vous ne serez pas seul : la CAI a reçu 518 avis d'incidents de confidentialité entre le 1er janvier et le 10 décembre 2025. Depuis le 27 mai 2025, elle ne publie plus la liste des organisations déclarantes.",[88,346,348],{"id":347},"étape-4-aviser-les-personnes-concernées","Étape 4 : aviser les personnes concernées",[52,350,351,352,355],{},"L'avis aux personnes doit contenir six éléments (Règlement, art. 5) : les renseignements visés, une brève description des circonstances, la date ou la période de l'incident, les mesures que vous avez prises pour diminuer le risque, les mesures que vous ",[74,353,354],{},"leur"," suggérez de prendre, et les coordonnées d'une personne ou d'un service pour en savoir plus.",[52,357,358],{},"Écrivez-le en langage clair, sans jargon. Pour la clinique de Sherbrooke, les conseils utiles seraient : se méfier des courriels qui reprennent des détails de leur rendez-vous, ne jamais transmettre de renseignements bancaires par courriel, et appeler la clinique au numéro habituel en cas de doute.",[52,360,361],{},"L'avis est normalement individuel. Un avis public (site Web, médias) est permis s'il évite un préjudice accru, si l'avis individuel représente une difficulté excessive ou si vous n'avez pas les coordonnées des personnes (Règlement, art. 6). Vous pouvez aussi publier un avis public pour agir vite, mais l'avis individuel reste alors exigé.",[52,363,364],{},"Enfin, l'article 3.5 vous permet d'aviser une personne ou un organisme susceptible de réduire le risque (une institution financière, par exemple), en ne communiquant que les renseignements nécessaires. Votre responsable doit alors enregistrer cette communication.",[88,366,368],{"id":367},"après-lavis-registre-suivi-et-prévention","Après l'avis : registre, suivi et prévention",[52,370,371],{},"L'incident n'est pas clos parce que le formulaire est parti.",[67,373,374,382,385,388],{},[70,375,376,377,381],{},"Inscrivez-le au ",[146,378,380],{"href":379},"\u002Fblogue\u002Fregistre-incidents-confidentialite-modele","registre des incidents de confidentialité",", avec les dates d'envoi des avis.",[70,383,384],{},"Transmettez à la CAI toute nouvelle information : nombre de personnes revu à la hausse, cause confirmée.",[70,386,387],{},"Corrigez la cause : MFA résistante à l'hameçonnage, blocage des transferts automatiques vers l'externe, formation ciblée.",[70,389,390],{},"Faites un bilan à froid avec la direction dans les semaines suivantes.",[52,392,393,394,397],{},"Ce guide vulgarise les obligations de la Loi 25 et ne remplace pas un avis juridique : validez chaque décision de déclaration avec votre conseiller juridique. Pour vous préparer avant le prochain incident, ",[146,395,396],{"href":17},"notre accompagnement en conformité Loi 25"," peut vous aider à mettre en place la procédure et la grille d'évaluation du préjudice.",[247,399],{"variant":249},{"title":401,"searchDepth":11,"depth":15,"links":402},"",[403,404,405,406,407,408],{"id":90,"depth":11,"text":91},{"id":120,"depth":11,"text":121},{"id":153,"depth":11,"text":154},{"id":252,"depth":11,"text":253},{"id":347,"depth":11,"text":348},{"id":367,"depth":11,"text":368},"compliance","2026-10-24","Incident de confidentialité : quand et comment le déclarer à la CAI selon la Loi 25, sans le mythe des 72 h. Évaluation du préjudice, contenu de l'avis, étapes.","md",[414,417,420,423],{"q":415,"a":416},"Faut-il aviser la CAI si les renseignements volés étaient chiffrés ?","Pas automatiquement. Si le chiffrement était robuste et que la clé n'a pas été compromise, la probabilité d'une utilisation préjudiciable peut être faible, ce qui peut mener à conclure à l'absence de risque de préjudice sérieux. Documentez ce raisonnement au registre et validez-le avec votre responsable de la protection des renseignements personnels et votre conseiller juridique.",{"q":418,"a":419},"Que risque une entreprise qui ne déclare pas un incident ?","Omettre de déclarer un incident à la CAI ou aux personnes concernées, lorsqu'on y est tenu, peut entraîner une sanction administrative pécuniaire (art. 90.1) ou une poursuite pénale (art. 91). La CAI peut aussi ordonner à l'entreprise d'aviser les personnes concernées.",{"q":421,"a":422},"Un incident chez notre fournisseur infonuagique est-il notre responsabilité ?","Oui. Selon la CAI, l'entreprise qui confie des renseignements personnels à un tiers demeure responsable de ses obligations en cas d'incident : mesures à prendre, registre, avis. Votre contrat doit obliger le fournisseur à aviser sans délai votre responsable de la protection des renseignements personnels (art. 18.3).",{"q":424,"a":425},"Peut-on retarder l'avis aux clients à la demande de la police ?","Oui, dans une mesure limitée. La loi permet de ne pas aviser les personnes concernées tant que cela serait susceptible d'entraver une enquête menée par un organisme chargé de prévenir, détecter ou réprimer le crime (art. 3.5). Cette exception ne vise pas l'avis à la CAI.","déclarer incident de confidentialité CAI",{},"\u002Fblogue\u002Fdeclarer-incident-confidentialite-cai-loi-25","---\ntitle: \"Déclarer un incident de confidentialité à la CAI : le guide\"\ndescription: \"Incident de confidentialité : quand et comment le déclarer à la CAI selon la Loi 25, sans le mythe des 72 h. Évaluation du préjudice, contenu de l'avis, étapes.\"\ndate: 2026-10-24\ncategory: compliance\ntags: [\"loi 25\", \"cai\", \"incident\", \"conformité\"]\ntranslationKey: loi25-incident-cai\nkeyword: \"déclarer incident de confidentialité CAI\"\nfaq:\n  - q: \"Faut-il aviser la CAI si les renseignements volés étaient chiffrés ?\"\n    a: \"Pas automatiquement. Si le chiffrement était robuste et que la clé n'a pas été compromise, la probabilité d'une utilisation préjudiciable peut être faible, ce qui peut mener à conclure à l'absence de risque de préjudice sérieux. Documentez ce raisonnement au registre et validez-le avec votre responsable de la protection des renseignements personnels et votre conseiller juridique.\"\n  - q: \"Que risque une entreprise qui ne déclare pas un incident ?\"\n    a: \"Omettre de déclarer un incident à la CAI ou aux personnes concernées, lorsqu'on y est tenu, peut entraîner une sanction administrative pécuniaire (art. 90.1) ou une poursuite pénale (art. 91). La CAI peut aussi ordonner à l'entreprise d'aviser les personnes concernées.\"\n  - q: \"Un incident chez notre fournisseur infonuagique est-il notre responsabilité ?\"\n    a: \"Oui. Selon la CAI, l'entreprise qui confie des renseignements personnels à un tiers demeure responsable de ses obligations en cas d'incident : mesures à prendre, registre, avis. Votre contrat doit obliger le fournisseur à aviser sans délai votre responsable de la protection des renseignements personnels (art. 18.3).\"\n  - q: \"Peut-on retarder l'avis aux clients à la demande de la police ?\"\n    a: \"Oui, dans une mesure limitée. La loi permet de ne pas aviser les personnes concernées tant que cela serait susceptible d'entraver une enquête menée par un organisme chargé de prévenir, détecter ou réprimer le crime (art. 3.5). Cette exception ne vise pas l'avis à la CAI.\"\nsources:\n  - title: \"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5 à 3.8\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n  - title: \"Règlement sur les incidents de confidentialité (RLRQ c. A-2.1, r. 3.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Frc\u002FA-2.1,%20r.%203.1\"\n  - title: \"CAI — Incidents de confidentialité et mesures de sécurité (entreprises)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Finformation-entreprises-privees\u002Fincidents-confidentialite-mesures-securite-entreprises\"\n  - title: \"CAI — Décision AI-2526-238 (nombre d'avis reçus en 2025)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FAI-2526-238_Decision.pdf\"\n  - title: \"Gowling WLG — La CAI cesse de publier la liste des incidents déclarés\"\n    url: \"https:\u002F\u002Fgowlingwlg.com\u002Ffr\u002Finsights-resources\u002Farticles\u002F2025\u002Fquebec-stop-publishing-privacy-reports\"\n---\n\nLundi, 8 h 40. La réceptionniste d'une clinique de physiothérapie de Sherbrooke voit des dizaines de réponses automatiques dans sa boîte de courriel. Vendredi, elle a saisi son mot de passe sur une fausse page Microsoft. Depuis, quelqu'un lit ses messages : rendez-vous, notes de suivi, coordonnées de patients.\n\nLa première question de la propriétaire est presque toujours la même : « On a 72 heures pour déclarer ça, c'est ça ? » Non. Et c'est une bonne nouvelle, à condition de ne pas s'en servir comme prétexte pour attendre.\n\nCe guide suit l'ordre réel d'une réponse à un incident : contenir, évaluer, aviser, consigner.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- La Loi 25 n'impose aucun délai chiffré : il faut aviser la CAI et les personnes concernées **« avec diligence »** si l'incident présente un risque de préjudice sérieux (art. 3.5).\n- Le risque s'évalue selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable (art. 3.7), en consultant votre responsable de la protection des renseignements personnels.\n- L'avis à la CAI se fait par écrit, avec son formulaire en ligne, et contient les 11 éléments du Règlement sur les incidents de confidentialité.\n- Déclaré ou non, chaque incident va au registre.\n::\n\n## Pas de délai de 72 heures : ce que dit vraiment l'article 3.5\n\nLe chiffre de 72 heures circule partout, y compris sur des sites de fournisseurs en sécurité. Il vient de l'article 33 du RGPD européen, pas de la loi québécoise.\n\nL'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé prévoit deux niveaux :\n\n1. Dès que vous avez des motifs de croire qu'un incident s'est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter qu'il se reproduise. Ça vaut pour **tous** les incidents.\n2. Si l'incident présente un risque de préjudice sérieux, vous devez aviser **avec diligence** la Commission d'accès à l'information (CAI) et les personnes dont les renseignements sont touchés.\n\n« Avec diligence » ne veut pas dire « quand le dossier sera complet ». La CAI écrit d'ailleurs que l'entreprise doit « s'empresser » de l'aviser. Et le Règlement prévoit que vous lui transmettiez avec diligence tout renseignement appris après l'avis initial (art. 4). Autrement dit : on déclare avec ce qu'on sait, puis on complète.\n\n## Étape 1 : contenir et préserver les preuves\n\nAvant même de savoir s'il faudra déclarer, agissez :\n\n- Réinitialisez les mots de passe compromis et révoquez les sessions actives.\n- Supprimez les règles de transfert ou de redirection créées par l'attaquant.\n- Isolez les postes suspects du réseau, sans les éteindre si possible : la mémoire contient des indices.\n- Exportez les journaux d'audit avant qu'ils n'expirent.\n- Notez tout, avec l'heure : qui a constaté quoi, quelles actions ont été prises, par qui.\n\nCes notes serviront à remplir l'avis et le registre. Si vous n'avez pas encore de procédure, notre [modèle de plan de réponse aux incidents](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele) vous donne une base solide.\n\n## Étape 2 : évaluer le risque de préjudice sérieux\n\nL'article 3.7 vous oblige à considérer notamment la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Vous devez aussi consulter votre responsable de la protection des renseignements personnels. La CAI suggère de structurer l'analyse autour de six questions : qui, combien, quoi, quand, où, pourquoi.\n\nQuelques situations typiques, à titre indicatif :\n\n| Situation | Sensibilité | Probabilité d'usage malveillant | Conclusion probable |\n|---|---|---|---|\n| Liste de prix envoyée par erreur avec les noms et courriels de 12 clients; le destinataire confirme la suppression | Faible | Faible | Pas de risque sérieux : registre seulement |\n| Dossier partagé par lien public pendant deux jours; les journaux ne montrent aucun accès externe | Moyenne | Faible | Souvent pas de risque sérieux : registre, journaux conservés en preuve |\n| Boîte courriel lue par un attaquant pendant trois jours (renseignements de santé) | Élevée | Élevée (acteur malveillant) | Risque sérieux : avis à la CAI et aux personnes |\n| [Rançongiciel](\u002Fblogue\u002Francongiciel-pme-anatomie-attaque) avec vol de dossiers d'employés (NAS, relevés bancaires) | Très élevée | Très élevée | Risque sérieux : avis à la CAI et aux personnes |\n\nDocumentez votre raisonnement, surtout quand vous concluez à l'absence de risque sérieux. Le registre doit justement contenir les éléments qui vous ont menés à cette conclusion.\n\n::cta{variant=\"audit\"}\n::\n\n## Étape 3 : remplir l'avis à la CAI\n\nL'avis se fait par écrit. La CAI offre un formulaire en ligne (formulaire.cai.gouv.qc.ca, section « Entreprise ou organisation privée »). Son contenu est fixé par l'article 3 du Règlement sur les incidents de confidentialité. Préparez ces 11 éléments :\n\n- [ ] Nom de l'entreprise et, le cas échéant, son numéro d'entreprise du Québec (NEQ)\n- [ ] Nom et coordonnées de la personne à joindre au sujet de l'incident\n- [ ] Description des renseignements personnels visés, ou raison pour laquelle vous ne pouvez pas encore les décrire\n- [ ] Brève description des circonstances et, si elle est connue, de la cause\n- [ ] Date ou période de l'incident (ou une approximation)\n- [ ] Date ou période où vous en avez pris connaissance\n- [ ] Nombre de personnes concernées et, parmi elles, de résidents du Québec (ou une approximation)\n- [ ] Éléments qui vous font conclure à un risque de préjudice sérieux\n- [ ] Mesures prises ou prévues pour aviser les personnes, avec les dates ou le délai envisagé\n- [ ] Mesures prises ou prévues pour réduire le préjudice et éviter la répétition, avec les dates\n- [ ] Le cas échéant, mention qu'une autorité de protection des renseignements personnels hors Québec a aussi été avisée\n\nVous ne serez pas seul : la CAI a reçu 518 avis d'incidents de confidentialité entre le 1er janvier et le 10 décembre 2025. Depuis le 27 mai 2025, elle ne publie plus la liste des organisations déclarantes.\n\n## Étape 4 : aviser les personnes concernées\n\nL'avis aux personnes doit contenir six éléments (Règlement, art. 5) : les renseignements visés, une brève description des circonstances, la date ou la période de l'incident, les mesures que vous avez prises pour diminuer le risque, les mesures que vous **leur** suggérez de prendre, et les coordonnées d'une personne ou d'un service pour en savoir plus.\n\nÉcrivez-le en langage clair, sans jargon. Pour la clinique de Sherbrooke, les conseils utiles seraient : se méfier des courriels qui reprennent des détails de leur rendez-vous, ne jamais transmettre de renseignements bancaires par courriel, et appeler la clinique au numéro habituel en cas de doute.\n\nL'avis est normalement individuel. Un avis public (site Web, médias) est permis s'il évite un préjudice accru, si l'avis individuel représente une difficulté excessive ou si vous n'avez pas les coordonnées des personnes (Règlement, art. 6). Vous pouvez aussi publier un avis public pour agir vite, mais l'avis individuel reste alors exigé.\n\nEnfin, l'article 3.5 vous permet d'aviser une personne ou un organisme susceptible de réduire le risque (une institution financière, par exemple), en ne communiquant que les renseignements nécessaires. Votre responsable doit alors enregistrer cette communication.\n\n## Après l'avis : registre, suivi et prévention\n\nL'incident n'est pas clos parce que le formulaire est parti.\n\n- Inscrivez-le au [registre des incidents de confidentialité](\u002Fblogue\u002Fregistre-incidents-confidentialite-modele), avec les dates d'envoi des avis.\n- Transmettez à la CAI toute nouvelle information : nombre de personnes revu à la hausse, cause confirmée.\n- Corrigez la cause : MFA résistante à l'hameçonnage, blocage des transferts automatiques vers l'externe, formation ciblée.\n- Faites un bilan à froid avec la direction dans les semaines suivantes.\n\nCe guide vulgarise les obligations de la Loi 25 et ne remplace pas un avis juridique : validez chaque décision de déclaration avec votre conseiller juridique. Pour vous préparer avant le prochain incident, [notre accompagnement en conformité Loi 25](\u002Fservices\u002Fconformite-loi-25) peut vous aider à mettre en place la procédure et la grille d'évaluation du préjudice.\n\n::cta{variant=\"audit\"}\n::\n",{"title":47,"description":411},[432,435,438,441,444],{"title":433,"url":434},"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5 à 3.8","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1",{"title":436,"url":437},"Règlement sur les incidents de confidentialité (RLRQ c. A-2.1, r. 3.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Frc\u002FA-2.1,%20r.%203.1",{"title":439,"url":440},"CAI — Incidents de confidentialité et mesures de sécurité (entreprises)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fprotection-renseignements-personnels\u002Finformation-entreprises-privees\u002Fincidents-confidentialite-mesures-securite-entreprises",{"title":442,"url":443},"CAI — Décision AI-2526-238 (nombre d'avis reçus en 2025)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FAI-2526-238_Decision.pdf",{"title":445,"url":446},"Gowling WLG — La CAI cesse de publier la liste des incidents déclarés","https:\u002F\u002Fgowlingwlg.com\u002Ffr\u002Finsights-resources\u002Farticles\u002F2025\u002Fquebec-stop-publishing-privacy-reports","blogue\u002Fdeclarer-incident-confidentialite-cai-loi-25",[449,450,451,452],"loi 25","cai","incident","conformité","loi25-incident-cai",null,"3JzmPmm8sYH3AALZO3m8k3c-I_iEZ6M7J4sSoxcZQFw",{"path":457},"\u002Fen\u002Fblog\u002Freport-confidentiality-incident-cai-law-25",[459,465,471],{"path":460,"title":461,"description":462,"category":409,"minutes":27,"tags":463},"\u002Fblogue\u002Fcyberattaque-qui-aviser-obligations","Cyberattaque : qui aviser, et dans quel ordre (guide PME)","Cyberattaque dans votre PME : qui aviser (assureur, banque, police, CAI, clients, Centre canadien pour la cybersécurité), dans quel ordre et selon quelles lois.",[451,449,450,464,452],"lprpde",{"path":466,"title":467,"description":468,"category":409,"minutes":27,"tags":469},"\u002Fblogue\u002Floi-25-amendes-sanctions-cai","Loi 25 : amendes, sanctions et pouvoirs de la CAI","Amendes Loi 25 : jusqu'à 10 M$ en sanction administrative et 25 M$ au pénal. Comment la CAI fixe les montants, ses autres pouvoirs et comment réduire le risque.",[449,450,470,452],"sanctions",{"path":472,"title":473,"description":474,"category":409,"minutes":27,"tags":475},"\u002Fblogue\u002Floi-25-checklist-cybersecurite","Loi 25 : la checklist cybersécurité pour les PME du Québec","Loi 25 et cybersécurité : une checklist en 5 blocs pour vérifier la gouvernance, les accès, les contrôles techniques, les incidents et vos fournisseurs.",[449,452,476,477],"checklist","pme",1792971361257]